Fragwürdiger Schutz einer SQL-Abfrage?

[Julius]

Hallo Raketensimplizissimus,

Nun bin ich auf den Ansatz gestoßen, das mit einem Regex – etwa [a-zA-Z_0-9.]+\s+[adescADESC]+ – abzufangen.

Das mag auf manchen „elegant“ wirken, ist es aber nicht.

Grund:

Für Dich (oder einen nachfolgenden Programmierer) wird bei einem Regex schwerer erkennbar, was denn erlaubt sein soll. Bei der vermeintlich „stumpfen“ Methode der Notierung erlaubter konkreter Werte ist das sofort und jederzeit sichtbar.

Das ist tatsächlich auch ein gewichtiges Argument. Vor allem dürfte dann jemand das ganze erweitern, übersieht aufgrund der Komplexität und dann knallt es – sofern das das Bestellformular bei einer Silvesterfeuerwerksraketenmanufaktur ist, sogar ganz ordentlich.

Bleibe bei

... bediene ich mich einer Liste von erlaubten Spalten und Sortierreihenfolgen, gegen die geprüft wird.

Das war eh mein Plan. Ich muss andere überzeugen, die die Probleme nicht sehen 🙃.

Gruß
Julius